CVE-2024-43468
Microsoft Configuration Manager SQL Injection Vulnerability
Beschreibung
CVE-2024-43468 ist eine kritische SQL-Injection-Schwachstelle im Microsoft Configuration Manager, die einem nicht-authentifizierten Angreifer die Ausfuehrung von Remotecode auf dem Configuration-Manager-Server ermoeglicht. Durch speziell praeparierte Anfragen kann der Angreifer eine SQL-Injection-Luecke ausnutzen, die zu vollstaendiger Systemkompromittierung fuehren kann. Die Schwachstelle erreicht einen CVSS v3.1-Score von 9.8 (CRITICAL).
Die CISA hat CVE-2024-43468 in den KEV-Katalog aufgenommen, mit einer Behebungsfrist bis zum 5. Maerz 2026. Der Ransomware-Status wird als Unknown gefuehrt. Besonders bemerkenswert ist der extrem hohe EPSS-Score von 84.62 % (99. Perzentil), der CVE-2024-43468 unter die am haeufigsten ausgenutzten Schwachstellen weltweit einordnet. Die Kombination aus fehlender Authentifizierung, kritischem CVSS-Score und der zentralen Rolle des Configuration Managers in Unternehmensumgebungen macht diese Schwachstelle ausserordentlich gefaehrlich.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| microsoft | configuration manager 2403 | - |
| microsoft | configuration manager 2409 | - |
| microsoft | configuration manager 2503 | - |
Referenzen
- https://msrc.microsoft.com/update-guide/vulnerability/CVE-2024-43468(Vendor Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2024-43468(US Government Resource)
Schwachstellentyp
CWE-89: SQL Injection
CVE-2024-43468 basiert auf CWE-89 (SQL Injection), einer der aeltesten und dennoch gefaehrlichsten Schwachstellenklassen in der Softwaresicherheit. Bei einer SQL-Injection werden Benutzereingaben ohne ausreichende Bereinigung direkt in SQL-Abfragen eingebettet, sodass ein Angreifer eigene SQL-Befehle einschleusen und ausfuehren kann.
Im Fall des Microsoft Configuration Managers ermoeglicht die SQL-Injection nicht nur den Zugriff auf die Datenbank, sondern fuehrt direkt zu Remote Code Execution auf dem Server. Dies deutet darauf hin, dass der Angreifer ueber die SQL-Injection erweiterte Datenbankfunktionen wie xp_cmdshell oder aehnliche Mechanismen ausnutzen kann, um Betriebssystembefehle auszufuehren. CWE-89 wird konsistent in den OWASP Top 10 und der CWE Top 25 als eine der kritischsten Schwachstellenklassen gefuehrt.
Auswirkungsanalyse
Die Auswirkungen von CVE-2024-43468 sind aufgrund der zentralen Rolle des Microsoft Configuration Managers in Unternehmensumgebungen katastrophal. Vertraulichkeit: Ueber die SQL-Injection erhaelt der Angreifer Zugriff auf die gesamte Configuration-Manager-Datenbank. Diese enthaelt typischerweise Hardware- und Softwareinventare aller verwalteten Geraete, Netzwerkkonfigurationen, Softwareverteilungspakete und moeglicherweise gespeicherte Zugangsdaten. Der vollstaendige Vertraulichkeitsverlust (C:H) betrifft potenziell Tausende verwalteter Endpunkte.
Integritaet: Die Faehigkeit zur Remote Code Execution auf dem Configuration-Manager-Server ermoeglicht dem Angreifer die vollstaendige Manipulation des Systems. Der Configuration Manager kann genutzt werden, um Softwarepakete und Skripte auf allen verwalteten Geraeten auszufuehren, was einen Angriff auf die gesamte verwaltete IT-Infrastruktur ermoeglicht. Ein kompromittierter Configuration Manager wird so zum ultimativen Verteilungswerkzeug fuer Malware (I:H).
Verfuegbarkeit: Der Angreifer kann den Configuration-Manager-Server und seine Dienste deaktivieren, was die zentrale Verwaltung aller Endpunkte unterbricht. Noch schwerwiegender ist die Moeglichkeit, ueber den Configuration Manager destruktive Befehle auf verwalteten Systemen auszufuehren, was zu einem flaechendeckenden Ausfall fuehren kann (A:H). Da weder Authentifizierung (PR:N) noch Benutzerinteraktion (UI:N) erforderlich sind, kann der Angriff vollstaendig automatisiert erfolgen.
Exploit-Reifegrad
CVE-2024-43468 weist mit einem EPSS-Score von 84.62 % (99. Perzentil) eine der hoechsten Ausnutzungswahrscheinlichkeiten aller bekannten Schwachstellen auf. Die CISA hat die Schwachstelle in den KEV-Katalog aufgenommen, mit einer Behebungsfrist bis zum 5. Maerz 2026. Der Ransomware-Status wird als Unknown gefuehrt.
Microsoft hat im Security Response Center (MSRC) ein Advisory und Sicherheitsupdates veroeffentlicht. Der extrem hohe EPSS-Score deutet darauf hin, dass aktive Ausnutzung weit verbreitet ist oder die technische Huerde fuer die Ausnutzung sehr niedrig liegt. SQL-Injection-Schwachstellen sind generell leicht automatisierbar, und in Kombination mit dem Pre-Authentication-Charakter dieser Schwachstelle ist eine massenhafte Ausnutzung wahrscheinlich. Die Tatsache, dass diese Schwachstelle bereits seit 2024 bekannt ist und nun im KEV-Katalog gelistet wird, unterstreicht die anhaltende Bedrohung durch ungepatchte Systeme.
Behebung
-
Microsoft-Sicherheitsupdates sofort installieren: Wenden Sie die von Microsoft bereitgestellten Sicherheitsupdates fuer alle betroffenen Versionen des Configuration Managers (2403, 2409, 2503) umgehend an. Konsultieren Sie das offizielle MSRC Advisory fuer die spezifischen KB-Artikel und Installationsanweisungen.
-
Netzwerkzugriff einschraenken: Beschraenken Sie den Netzwerkzugriff auf den Configuration-Manager-Server und insbesondere dessen Webdienste auf autorisierte Verwaltungssysteme. Implementieren Sie Firewall-Regeln, die den Zugriff von nicht-vertrauenswuerdigen Netzwerksegmenten blockieren. Der Configuration Manager sollte niemals direkt aus dem Internet erreichbar sein.
-
Datenbank-Aktivitaet ueberwachen: Implementieren Sie erweitertes Monitoring fuer die SQL-Server-Instanz des Configuration Managers. Achten Sie auf ungewoehnliche SQL-Abfragen, Zugriffe auf Systemprozeduren wie xp_cmdshell und verdaechtige Datenbankoperationen. Aktivieren Sie SQL Server Audit und ueberpruefen Sie die Logs regelmaessig.
-
Forensische Analyse durchfuehren: Angesichts des extrem hohen EPSS-Scores und der langen Existenz der Schwachstelle sollten alle Configuration-Manager-Installationen auf Kompromittierungsindikatoren untersucht werden. Pruefen Sie, ob ungewoehnliche Softwareverteilungen, Skriptausfuehrungen oder Konfigurationsaenderungen stattgefunden haben.
-
Defense-in-Depth-Massnahmen implementieren: Aktivieren Sie Windows Defender for SQL und konfigurieren Sie Application Control Policies, um die Ausfuehrung unbekannter Programme auf dem Configuration-Manager-Server zu verhindern. Implementieren Sie das Prinzip der geringsten Privilegien fuer das SQL-Server-Dienstkonto.
Technische Details
CVE-2024-43468 betrifft den Microsoft Configuration Manager in den Versionen 2403, 2409 und 2503. Der CVSS-Vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H beschreibt den kritischsten Angriffsvektor: Netzwerkzugriff (AV:N), geringe Komplexitaet (AC:L), keine Authentifizierung (PR:N) und keine Benutzerinteraktion (UI:N).
Die Schwachstelle ist eine SQL-Injection, bei der speziell praeparierte Anfragen die Eingabevalidierung umgehen und direkt in SQL-Abfragen eingebettet werden. Microsoft beschreibt das Ergebnis als Remote Code Execution, was darauf hindeutet, dass die SQL-Injection zur Ausfuehrung von Betriebssystembefehlen eskaliert werden kann. In Microsoft-SQL-Server-Umgebungen wird dies typischerweise ueber eingebaute Funktionen wie xp_cmdshell, sp_OACreate oder CLR-Integration erreicht.
Der Microsoft Configuration Manager (frueher SCCM, System Center Configuration Manager) ist eine zentrale Verwaltungsplattform fuer Windows-Endpunkte in Unternehmen. Er verwaltet typischerweise Softwareverteilung, Patch-Management, Betriebssystem-Deployment und Compliance-Pruefungen fuer Tausende von Geraeten. Eine Kompromittierung dieses Systems bietet dem Angreifer daher ein maechtige Plattform zur lateralen Bewegung im Unternehmensnetzwerk.
Betroffene Versionen umfassen Configuration Manager 2403, 2409 und 2503. Der Scope ist als Unchanged (S:U) bewertet, jedoch ist der tatsaechliche Blast Radius aufgrund der Verwaltungsfunktionen des Configuration Managers wesentlich groesser als der CVSS-Score allein suggeriert.
Häufig gestellte Fragen
Was ist der Microsoft Configuration Manager und warum ist diese Schwachstelle so kritisch?
Der Microsoft Configuration Manager (frueher SCCM) ist eine zentrale Verwaltungsplattform fuer Windows-Geraete in Unternehmen. Er kann Software verteilen, Patches installieren und Befehle auf allen verwalteten Geraeten ausfuehren. Eine Kompromittierung des Configuration Managers gibt einem Angreifer potenziell Kontrolle ueber die gesamte verwaltete IT-Infrastruktur.
Kann CVE-2024-43468 ohne Anmeldedaten ausgenutzt werden?
Ja, die Schwachstelle erfordert keine Authentifizierung (PR:N). Ein Angreifer, der Netzwerkzugriff auf den Configuration-Manager-Server hat, kann speziell praeparierte Anfragen senden und die SQL-Injection ohne jegliche Zugangsdaten ausnutzen.
Warum hat CVE-2024-43468 einen so hohen EPSS-Score?
Der EPSS-Score von 84.62 % (99. Perzentil) reflektiert mehrere Faktoren: die fehlende Authentifizierung, die geringe Ausnutzungskomplexitaet, die weite Verbreitung des Configuration Managers in Unternehmen und die leichte Automatisierbarkeit von SQL-Injection-Angriffen. Dieser Score platziert die Schwachstelle unter die am aktivsten ausgenutzten weltweit.
Welche Configuration-Manager-Versionen sind betroffen?
Betroffen sind die Versionen 2403, 2409 und 2503 des Microsoft Configuration Managers. Sicherheitsupdates sind ueber das Microsoft Security Response Center verfuegbar und sollten umgehend installiert werden.
Kann ein Angreifer ueber den Configuration Manager andere Geraete kompromittieren?
Ja, dies ist eines der Hauptrisiken. Der Configuration Manager verfuegt ueber die Faehigkeit, Software und Skripte auf allen verwalteten Endpunkten auszufuehren. Ein Angreifer, der den Configuration Manager kompromittiert, kann diese Funktionalitaet nutzen, um Malware auf Tausenden von Geraeten gleichzeitig zu verteilen.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.